Post-mortem ChainConnect: Эксплойт Alien Proxy
Краткое содержание
Venom Foundation публикует отчет об эксплойте ChainConnect от 26 июля в ProxyMultiVaultAlien_V10.onCheckAccumulatedFee, который позволил минтить необеспеченные токены Alien TIP-3. Проблема была на уровне приложения, а не Venom. ChainConnect исправила уязвимость и вернула 82,9% (~615 тыс. USD).
🛡 Post-mortem ChainConnect: Эксплойт Callback Alien Proxy 🛡
26 июля злоумышленник воспользовался уязвимостью контроля доступа в контракте моста ChainConnect на Venom 2.0.
Уязвимость находилась в коде приложения (конкретно в callback ProxyMultiVaultAlien_V10.onCheckAccumulatedFee), где отсутствовала проверка отправителя. Это позволило минтить необеспеченные токены Alien TIP-3, которые затем были переведены в Ethereum через стандартный процесс.
Проблема не была связана с Venom, TVM, стандартом TIP-3, сетевой инфраструктурой, реле или какими-либо основными компонентами. Ключи или привилегированный доступ не были скомпрометированы.
Принятые меры и возврат средств
ChainConnect взяла на себя полную ответственность, устранила уязвимость во всех затронутых развертываниях и провела тщательную проверку логики callback и минтинга.
👉 82,9% затронутых средств (~615 тыс. USD) были возвращены, 17,1% удержаны в качестве вознаграждения.
Venom и ChainConnect
Venom — это независимый публичный блокчейн. ChainConnect — отдельный проект, развивающийся в экосистеме. Наша команда помогала им в ходе расследования, но мы не были причастны к первопричине.
🔗 Полный технический отчет от ChainConnect: https://t.me/chainconnect_news/9
Discord sent us an expired image link.
